在Java或Spring 2中有沒有一種方法去除某些字符以防止SQL注入？

我要尋找類似於在PHP中用來防止SQL注入對Spring 2的方法是否有任何或因此我需要做一個在Java或Spring 2中有沒有一種方法去除某些字符以防止SQL注入？

2013-12-09 code511788465541441

只需創建良好的理智查詢，並且不會在查詢中串聯簡單的'字符串'。此外，使用'PreparedStatement'而不是'Statement'（以防直接使用JDBC）。 –

我同意，'PreparedStatement'是避免SQL注入攻擊的方法，不會去除某些字符。 –

只是爲了重申，使用了PreparedStatements。 SQL方面，它們的處理方式與有意防止SQL注入的普通查詢不同。 - 編輯時，確保在重複執行PreparedStatements時，通過使用.clearParamters（）並重置值，或者強制SQL引擎每次重新生成執行計劃，都可以重用PreparedStatements。這仍然可以防止SQL注入，但如果不適當地重用它們，性能會受到影響。 –

從OWASP site on this very question：「SQL注入的最佳途徑是使用防止的parameterized queries「。

剔除字符更符合你想要防止cross site scripting (XSS)要做的事情。

來源

2013-12-11 18:25:55 Jay

在Java或Spring 2中有沒有一種方法去除某些字符以防止SQL注入？

回答

相關問題